摘要

GDPR是一项已经影响组织处理数据（包括视频数据）方式的法规。

处理个人数据的每个组织至少需要一名或多名指定人员，负责确保组织根据GDPR和公司政策处理个人数据（为此分配的工时数将取决于组织的规模以及收集和处理的个人数据量）。此外，对于一些组织来说，GDPR将需要任命一名正式的数据保护官(DPO)来执行这些任务。

行政程序也将发生变化。根据GDPR，组织需要保存详细而准确的数据处理活动记录。有关“处理活动记录”的样例模板，请参阅：“处理活动记录”模板。必须记录一系列详细信息，包括但不限于：

所有这些都与视频监控策略中定义的、存储的监控视频相关(请参阅 附录：视频监控政策)。

组织有义务解释为什么视频摄像机在特定的地方，正在拍摄的内容以及为什么。对于视频监控，应在使用视频监控的区域及其周围使用适当的标志牌来提供相关信息。

数据控制者可能有义务执行数据保护影响评估(请参阅 附录：数据保护影响评估)当涉及到在公共场所设置摄像机时。影响评估应包括：

GDPR的一个关键特征是，需要充分告知那些被监控的人他们身上保存了哪些数据，以及这些数据是如何使用的。信息通知权告知受影响的个人：监控的目的，谁保留收集的数据（数据控制者/数据处理者）以及保留政策。有关现场通知的样例模板，请参阅 Milestone 现场通知模板.

存储视频的组织在存储个人数据方面有明确的责任，必须采取强有力的措施来防止未经授权的访问。这意味着必须以书面形式确定谁有权访问摄像机和记录，这一点非常重要。

组织还应制定个人选择行使访问个人数据的权利或要求删除个人数据的程序。这样他们就可以遵守规定的一个月期限，在此期限内，他们必须遵守GDPR规定的这些要求。当提出此类请求时，可以合理地期望查询者提供足够的信息来定位这些数据，例如大致时间范围，以及捕捉视频的位置。也就是说，受试者应提供证明其身份的官方身份证件，组织应记录所显示或提供给个人的记录。此外，视频中的其他人应该使用第三方工具进行屏蔽。

组织应采取强有力的措施，防止未经授权访问他们存储的个人数据。每个组织使用的策略对于他们面临的挑战都是独特的。但是，在所有情况下，组织都必须采用强大的安全控制措施，及时了解最新的网络安全最佳实践，并确保他们与提供安全硬件、软件和全面善后服务的受信任合作伙伴合作。